WCF STSロードバランシングと証明書

Question

トークンを使用してトークンを暗号化するロードバランシング環境でカスタムWCF - Security Token Service（STS）を展開する場合のベストプラクティスは何ですか？

私たちは、Cirtix NetScalerを使用して負荷分散とSSL終了を処理しています（つまり、証明書はNetScalerサーバにのみインストールされています）。 STSは、SigningCertificateNameおよびEncryptionCertificateNameアプリの設定でトークンに署名し、暗号化するように指定されています。ただし、現在のWebサーバー構成には、証明書ストアにローカル証明書がインストールされていません。

だから私の質問は以下のとおりです。 - それはSSL経由で転送されます場合

• 我々はトークンに署名し、暗号化を心配する必要がありますか？
• すべてのWebサーバーに証明書をインストールするか、ロードバランサを使用できますか？
• 各Webサーバーで同じ証明書を使用することはできますか、Webサーバーごとに証明書を購入する必要はありますか？

Answer 1

トークンに署名しないSTSは、あまり使用されません。署名がなければ、依存者はSTSによって発行された有効なトークンと悪意のある人によって偽装されたトークンを区別できません。

SSLをサポートするためにインストールする証明書は、通常、STSの署名証明書とは異なります。後者は、Webサーバーではなくサービスを識別します。したがって、ロードバランサ上にSSL証明書をインストールするだけです。しかし、SigningCertificateとして使用するために、サービスをホストする各マシンに（秘密鍵で）インストールされた、サービスのIDを表す別の証明書が必要になります。各サーバー上で同じ証明書にする必要があります（同じサービスです）。

のような証明書を購入する必要はありません：あなた自身で発行することができます - 信頼できる各信頼関係者が信頼できるSTSとして証明書を認識するように設定されていることを確認するだけでなく、証明書のルート発行者（自己署名証明書の場合は証明書自体、発行する場合は証明書サーバーを使用した場合はルート証明書）。